К списку уязвимостей
CVE-2026-112032
aircheng-org iWebShop-5 util.php search sql injection
Публикация: 19.10.2026·Обновлена: 19.10.2026, 19:37·Europe/Moscow
Что произошло
Автоперевод выключен · оригинальное описание
A vulnerability was identified in aircheng-org iWebShop-5 up to 5.16. Impacted is the function Util::search of the file classes/util.php. The manipulation leads to sql injection. It is possible to initiate the attack remotely. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.
Что это значит
Входные данные могут изменить запрос к базе данных. Проверьте доступность затронутых функций и права сервисной учётной записи.
Что делать
Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 7 дней
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
Debian / Ubuntu
dpkg-query -W -f='${Package} ${Version}\n'RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
Общая рекомендация, не из бюллетеня вендора
3. Временные меры
До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.
Общая рекомендация, не из бюллетеня вендора
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
Общая рекомендация, не из бюллетеня вендора
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
aircheng-org / iWebShop-5
{
"status": "affected",
"version": "5.0"
}{
"status": "affected",
"version": "5.1"
}{
"status": "affected",
"version": "5.2"
}{
"status": "affected",
"version": "5.3"
}{
"status": "affected",
"version": "5.4"
}{
"status": "affected",
"version": "5.5"
}{
"status": "affected",
"version": "5.6"
}{
"status": "affected",
"version": "5.7"
}{
"status": "affected",
"version": "5.8"
}{
"status": "affected",
"version": "5.9"
}{
"status": "affected",
"version": "5.10"
}{
"status": "affected",
"version": "5.11"
}{
"status": "affected",
"version": "5.12"
}{
"status": "affected",
"version": "5.13"
}{
"status": "affected",
"version": "5.14"
}{
"status": "affected",
"version": "5.15"
}{
"status": "affected",
"version": "5.16"
}cpe:2.3:a:aircheng-org:iwebshop-5:*:*:*:*:*:*:*:*
CVSS: оценки и векторы
CVSS 4.0 · cve5.1
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:P
AV · Вектор атакисеть
AC · Сложность атакинизкая
AT · Условия атакидополнительные условия не нужны
PR · Привилегиивысокие
UI · Участие пользователяне нужно
VC · Конфиденциальность уязвимой системынизкое
VI · Целостность уязвимой системынизкое
VA · Доступность уязвимой системынизкое
SC · Конфиденциальность связанной системынет
SI · Целостность связанной системынет
SA · Доступность связанной системынет
E · Eзначение P; см. спецификацию CVSS
CVSS 3.1 · cve4.7
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:C
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиивысокие
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьнизкое
I · Целостностьнизкое
A · Доступностьнизкое
E · Eзначение P; см. спецификацию CVSS
RL · RLзначение X; см. спецификацию CVSS
RC · RCзначение C; см. спецификацию CVSS
CVSS 3.0 · cve4.7
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L/E:P/RL:X/RC:C
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиивысокие
UI · Участие пользователяне нужно
S · Область воздействияне меняется
C · Конфиденциальностьнизкое
I · Целостностьнизкое
A · Доступностьнизкое
E · Eзначение P; см. спецификацию CVSS
RL · RLзначение X; см. спецификацию CVSS
RC · RCзначение C; см. спецификацию CVSS
CVSS 2.0 · cve5.8
AV:N/AC:L/Au:M/C:P/I:P/A:P/E:POC/RL:ND/RC:C
AV · Вектор атакисеть
AC · Сложность атакинизкая
Au · Аутентификация CVSS v2многократная
C · Конфиденциальностьчастичное
I · Целостностьчастичное
A · Доступностьчастичное
E · Eзначение POC; см. спецификацию CVSS
RL · RLзначение ND; см. спецификацию CVSS
RC · RCзначение C; см. спецификацию CVSS
Источники и ссылки
Материал · vuldb.com · cveМатериал · vuldb.com · cveМатериал · vuldb.com · cveМатериал · vuldb.com · cvePoC / эксплойт · github.com · cveМатериал · github.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
"cwes": [
"cve"
],
"epss": {
"source": "epss",
"received_at": "2026-11-03T21:11:51.221475+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-28T18:41:49.746289+00:00"
},
"scores": [
"cve"
],
"status": {
"source": "cve",
"received_at": "2026-10-28T18:41:49.746289+00:00"
},
"affected": [
"cve"
],
"published": {
"source": "cve",
"received_at": "2026-10-28T18:41:49.746289+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-11-03T21:11:51.221475+00:00"
},
"references": [
"cve"
],
"description": {
"source": "cve",
"received_at": "2026-10-28T18:41:49.746289+00:00"
},
"workarounds": [],
"configurations": []
}Хронология записи
- Данные обновлены04.11.2026, 00:11
- Данные обновлены03.11.2026, 00:11
- Данные обновлены02.11.2026, 00:09
- Данные обновлены31.10.2026, 11:57
- Данные обновлены30.10.2026, 16:41
- Данные обновлены29.10.2026, 11:14
- Появилась ссылка на PoC28.10.2026, 21:41
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-112034 aircheng-org iWebShop-5 Login Redirect _userInfo.php redirect aircheng-org / iWebShop-5 | Высокий | 5.3 | 0,35 % | PoC | 19.10.2026 | |
| CVE-2026-112033 aircheng-org iWebShop-5 Password Change system.php admin_repwd_act cross-site request forgery aircheng-org / iWebShop-5 | Высокий | 5.3 | 0,16 % | PoC | 19.10.2026 | |
| CVE-2026-112035 aircheng-org iWebShop-5 simple.php send_message_mobile password recovery aircheng-org / iWebShop-5 | Высокий | 5.3 | 0,35 % | PoC | 19.10.2026 | |
| CVE-2026-86668 aircheng-org iWebShop-5 pic.php uploadFile cross site scripting aircheng-org / iWebShop-5 | Высокий | 5.3 | 0,47 % | PoC | 08.09.2026 | |
| CVE-2026-86666 aircheng-org iWebShop-5 pic.php uploadFile unrestricted upload aircheng-org / iWebShop-5 | Высокий | 6.9 | 0,54 % | PoC | 08.09.2026 |